El conflicto/crisis en curso en Medio Oriente que involucra a Irán ha superado con creces un conflicto localizado para convertirse en una guerra total. Al igual que con otros conflictos y expansiones geopolíticas, este conflicto se ha desbordado. Según el análisis de inteligencia de amenazas realizado por la División de Inteligencia de Amenazas Cibernéticas de Shieldworkz, los grupos de amenazas persistentes avanzadas (APT) alineados con el estado iraní, junto con unidades de recopilación rusas y chinas, están activamente focalizando redes a través del Consejo de Cooperación del Golfo (GCC) y la región más amplia de Medio Oriente y África del Norte (MENA).

Si su organización opera en esta región, o tiene proveedores y cadenas de suministro que lo hacen, entonces esta no es una amenaza para monitorear pasivamente. Es una para actuar ahora. A medida que el conflicto se intensifica, también lo harán las consecuencias cibernéticas.

Antes de que avancemos, no olvide revisar nuestra publicación de blog anterior sobre “Construyendo un programa de ciberseguridad OT con IEC 62443 y NIST SP 800-82” aquí.

¿Qué ha cambiado el conflicto de Irán: De Reconocimiento a Armamentización?

La evaluación más crítica en el informe de Shieldworkz es esta: la dimensión cibernética de la crisis Irán-EE.UU. ha pasado de la vigilancia al armamentización y explotación activa. Los actores de amenazas ya no están solo observando. Están posicionándose y esperando su señal.

La actividad observada incluye:

• Robo de credenciales a través de phishing dirigido y con tiempo límite, concentrado durante las primeras horas de la mañana del Golfo (04:00–08:00 AST) - periodos cuando los Centros de Operaciones de Seguridad están típicamente con menos personal

• Movimiento lateral utilizando binarios de vivir fuera de la tierra (LOLBins) - herramientas legítimas de Windows como PowerShell, WMIC, Certutil y Mshta para evadir la detección

• Preposicionamiento de cargas útiles destructivas, con una ventana de activación de 24–72 horas vinculada a varias fases del conflicto en curso (incluido el despliegue de enjambres de drones)   

Este es un manual familiar. La región lo ha visto antes. Shamoon en 2012 y 2016/17, y ZeroCleare en 2019, demostraron que los despliegues de malware destructor son un camino de escalada creíble durante períodos de tensión geopolítica. La historia sugiere que necesitamos tomar esta advertencia en serio.

¿Qué sectores están en el punto de mira?

La evaluación de riesgos sectoriales en el informe es contundente